10月21日晚，芬兰、荷兰、法国、德国、比利时等多国政府及机构因PHP两个漏洞PHP2Shell预防性关闭部分网站，涉及荷兰国家网络安全中心、鹿特丹港、法国内政部让各省政府网站、德国联邦IT服务商多个站点、比利时外交部、维基媒体基金会和任天堂等。
这两个漏洞由Calif研究员Ryan Austin于8月1日开始带AI审计PHP，几天后发现第一个问题并于8月11日报告PHP；团队让AI总结第一个漏洞模式以寻找第二个。Wiz于8月19日借助Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol独立发现第一个漏洞，并在Drupal、WordPress验证远程执行代码。
PHP官方给两个漏洞评分均为9.2（满分10），称所有处理网页请求的PHP都受影响；Cloudflare称受影响版本可追溯至PHP 5.4。10月20日消息被放出后，PHP官方将补丁提前至21日14:00（UTC）发布，美国NSA、英国NCSC和欧盟CERT-EU建议来不及打补丁的系统先下线。